Čo sa kontroluje v prílohe
- Antivírus: porovnanie so známymi škodlivými programami. Účinný pri tom, čo už koluje, menej pri súbore vytvorenom pre jedinú kampaň.
- Makrá Office: dokument Word alebo Excel, ktorý obsahuje kód a žiada „povoliť obsah“, aby ho spustil. Je to stará schéma, stále používaná.
- PDF: skripty, skryté odkazy, formuláre, ktoré presmerujú na falošnú prihlasovaciu stránku.
- Súbory HTML: príloha, ktorá sa otvorí v prehliadači a napodobňuje prihlasovaciu stránku bez toho, aby prechádzala cez web, ktorý by sa dal zablokovať.
- Obrázky: QR kód, ktorý obsahuje odkaz, alebo text skrytý v obrázku, aby unikol analýze textu.
Keď je príloha vyhodnotená ako nebezpečná, rozumné sú dve riešenia: odstrániť prílohu a doručiť správu s poznámkou, ktorá to vysvetľuje, alebo presunúť celú správu do karantény. V oboch prípadoch sa súbor do počítača nedostane.
Odkazy: pri doručení a potom pri kliknutí
Odkaz sa analyzuje v správe: reputácia adresy a domény, podobnosť so známou značkou, nedávno vytvorená doména. QR kód predstavuje osobitný problém: presunie odkaz z chráneného počítača do osobného telefónu, ktorý je často chránený menej. Jeho prečítanie z obrázka vráti odkaz pod kontrolu.
Odkaz, ktorý je bezpečný o 9. hodine, však môže byť o 14. hodine nebezpečný. Podvodníci najprv pošlú odkaz na neškodnú stránku a po doručení správy stránku zmenia. Preto existuje ochrana pri kliknutí: odkaz sa prepíše tak, aby v okamihu kliknutia prešiel overením. Ak sa stránka medzitým stala nebezpečnou, kliknutie sa zastaví, aj keď bola správa doručená.
Odkazy na zdieľanie
Čoraz viac škodlivých správ neobsahuje žiadnu prílohu: odkazujú na dokument uložený v známej službe na zdieľanie súborov. Doména odkazu má potom vynikajúcu reputáciu, pretože patrí veľkej službe. Analýza sa musí zamerať na ostatné: je odosielateľ obvyklý, podobá sa správa na kampaň, žiada otvorená stránka heslo? Tu je overenie pri kliknutí a detekcia neobvyklého správania dôležitejšia než zoznam nebezpečných domén.
Ransomvér: čo brána dokáže a čo nie
Cybermalveillance.gouv.fr opisuje ransomvér ako útok, ktorý zablokuje prístup k systému alebo zašifruje údaje a niekedy hrozí ich zverejnením, výmenou za výkupné. Tento systém pomoci uvádza, že prienik prebieha spravidla cez zraniteľnosť alebo zle zabezpečený vzdialený prístup, alebo kompromitáciou účtu či zariadenia cez phishing alebo škodlivý program.
Elektronická pošta nie je jediným vstupom, ale ANSSI ju označuje za „hlavný vektor infekcie pracovnej stanice“. Tá istá inštitúcia uvádza „posielanie škodlivých príloh na zneužitie zraniteľností pracovnej stanice na účely vydierania alebo špionáže“. Je to zároveň vstup, ktorý sa dá filtrovať skôr, než sa dostane do schránky. Typický priebeh cez e-mail:
- správa s prílohou alebo odkazom;
- povolené makro alebo heslo zadané na falošnej stránke;
- prístup do siete alebo k účtom;
- neskôr, niekedy až o niekoľko týždňov, zašifrovanie súborov.
Príklad na ilustráciu. Zamestnanec dostane „neuhradenú faktúru“ vo formáte Word. Dokument zobrazí rozmazaný pás a žiada povoliť obsah, aby sa dal prečítať. Ak to urobí, makro stiahne program, ktorý poskytne prístup k počítaču. Súbory na serveri sa zašifrujú až neskôr. Ak sa príloha odstráni pri prijatí, tento reťazec sa nezačne; ak prejde, všetko závisí od návyku nepovoliť makro a potom od zálohy.
Brána pôsobí v prvom kroku. Nevidí prienik cez vzdialený prístup ani účet, ktorý už niekto otvoril heslom ukradnutým inde. Nič neobnovuje.
Cybermalveillance.gouv.fr odporúča pravidelné zálohy, odpojené kópie, overené obnovenia a bezodkladne nainštalované aktualizácie. Odporúča tiež neplatiť výkupné. Pre vaše súbory sa téme venuje príručka Ochrana systému správy dokumentov pred ransomvérom a jeho obnova.
Čo zostáva na človeku
- Nepovoľovať makrá v dokumente prijatom e-mailom, ani keď o to zdvorilo žiada.
- Nezadávať heslo na stránke otvorenej z prijatého odkazu; použiť obvyklú adresu alebo záložku. Cybermalveillance.gouv.fr odporúča aj skontrolovať adresu stránky, v ktorej sa môže zmeniť jediný znak.
- Neskenovať QR kód prijatý e-mailom, aby ste sa „prihlásili“.
- Pochybnú správu nahlásiť namiesto vymazania: nahlásenie pomáha filtru a varuje kolegov.
- Neuvoľňovať z karantény správu, ktorú ste nečakali, len zo zvedavosti.
Obmedzenia každej analýzy
- Súbor zašifrovaný odosielateľom: archív chránený heslom uvedeným v správe je pre filter nečitateľný. Je to známa technika obchádzania; rieši sa pravidlom (karanténa, upozornenie) skôr než analýzou obsahu.
- Nový škodlivý dokument bez známej signatúry môže prejsť antivírusom. Vtedy prevezmú úlohu ostatné signály (odosielateľ, kontext, makrá), bez záruky.
- Kompromitovaný legitímny účet, ktorý pošle skutočnú nebezpečnú faktúru, profituje z dôvery k odosielateľovi.
- Odkaz, ktorý sa stane nebezpečným dodatočne, prejde, ak ho nikto znova neoveruje v okamihu kliknutia.
- Interná správa vymenená medzi dvoma schránkami tej istej elektronickej pošty, ktorá ju neopustí, neprechádza bránou umiestnenou pred ňou: vidí ju filter elektronickej pošty, alebo nikto.
Karanténa existuje pre pochybné prípady: správa nie je doručená ani stratená. Pozrite Karanténa, falošne pozitívne nálezy a nahlásenie.
Časté otázky
Je odstránená príloha stratená?
Správa príde s poznámkou, ktorá odstránenie vysvetľuje. Ak bola príloha legitímna, administrátor alebo príjemca použije karanténu: pozrite Karanténa, falošne pozitívne nálezy a nahlásenie.
Môže byť PDF naozaj nebezpečný?
Áno: môže obsahovať skripty alebo presmerovať na falošnú prihlasovaciu stránku. Preto sa kontroluje rovnako ako dokument Office.
Prečo je odkaz overený včera dnes zablokovaný?
Stránka sa od doručenia zmenila. Ochrana pri kliknutí posudzuje stránku v okamihu, keď ju otvoríte.
Stačí brána proti ransomvéru?
Nie. Obmedzuje vstup cez elektronickú poštu. Zvyšok zabezpečujú aktualizácie, vzdialené prístupy a zálohovanie. Pozrite Ochrana systému správy dokumentov pred ransomvérom a jeho obnova.
Kde stojí Klytic
Rozdelenie Klytic MTA medzi jeho dve ponuky, tak ako je zverejnené:
| Analýza | Essential | Advanced |
|---|
| Antivírus a zašifrovaná karanténa | Áno | Áno |
| Nebezpečné makrá Office a PDF | Áno | Áno |
| Ochrana pred phishingom, zneužitie značky, QR kódy | Áno | Áno |
| Odstránenie nebezpečných príloh s informačnou správou | Áno | Áno |
| Zabezpečené uvoľnenie z karantény a oznámenia | Áno | Áno |
| Nebezpečné súbory HTML a skrytý text v obrázkoch | Nie | Áno |
| Odkazy znova analyzované v okamihu kliknutia | Nie | Áno |
Klytic MTA funguje pred akoukoľvek elektronickou poštou, bez Klytic Mail. Nenahrádza zálohovanie vašich súborov a schránok: v Klytic ide o zálohy samotných služieb, opísané na stránke bezpečnosť a zálohovanie.
Zdroje
Overené v októbri 2026.
- Cybermalveillance.gouv.fr, „Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ?“: definícia, spôsoby prieniku (zraniteľnosti, vzdialené prístupy, phishing, škodlivý program), odpojené a otestované zálohy, aktualizácie, neplatiť. cybermalveillance.gouv.fr
- Cybermalveillance.gouv.fr, „Que faire en cas de phishing ou hameçonnage ?“: skontrolovať adresu odkazu a stránky pred zadaním údajov. cybermalveillance.gouv.fr
- Klytic, stránka Klytic MTA: analýzy príloh a odkazov v ponukách Essential a Advanced, voliteľné služby, spôsoby nasadenia, uvedenie do prevádzky cez MX. klytic.com
- ANSSI, „Guide d’hygiène informatique“, verzia 2.0, september 2017, opatrenie 24 „Protéger sa messagerie professionnelle“: „Elektronická pošta je hlavným vektorom infekcie pracovnej stanice“. messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, katalóg opatrení, opatrenie „Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage“: „Poštové systémy sú jedným z hlavných vektorov útokov, pretože sú veľmi široko používané a vystavené na internete“. monservicesecurise.cyber.gouv.fr
- ANSSI, „Recommandations relatives à l’interconnexion d’un système d’information à Internet“, ANSSI-PA-066, verzia 3.0, 19. júna 2020, kapitola 5 „Sécurisation du service de messagerie électronique“: elektronická pošta „sa stala jedným z hlavných vektorov počítačových útokov“ (phishing, škodlivé prílohy); § 5.2.3, mechanizmy proti spamu a na vyhľadávanie škodlivého obsahu „sa musia zaviesť“. messervices.cyber.gouv.fr
